feat: ingest cooperative cancellation (p9-fb-04)

Ctrl-C / Esc 가 ingest 를 즉시 중단. 현재 in-flight asset 마무리 후
이후 asset 미실행, IngestEvent::Aborted { partial_counts } 발신,
Ok(IngestReport) 정상 반환 (Err 아님). 부분 commit 보존, 다음 ingest
가 idempotent 재개.

신규 facade: kebab-app::ingest_with_config_cancellable(.., progress,
cancel: Option<Arc<AtomicBool>>). 기존 _progress 가 cancel=None
forwarding wrapper. asset loop 시작 boundary 마다 atomic load —
true 면 break + Aborted emit + 정상 종료. Lock 없음.

CLI: ctrlc crate 신규 dep. SIGINT handler 가 첫 신호에 cancel.store(true)
+ stderr hint, 두 번째 신호에 std::process::exit(130) (canonical SIGINT
exit code). install_sigint_cancel() helper 가 Arc<AtomicBool> 반환,
Cmd::Ingest 가 facade 에 전달.

TUI: IngestState 에 cancel: Arc<AtomicBool> field 추가 (회차 1 review
결과의 reshape 정확). start_ingest 가 둘 다 만들어 worker 에 clone
move. cancel_running_ingest(&app) helper — Esc / Ctrl-C 가
ingest 진행 중일 때만 cancel 우선, 그 외에는 quit.

Test:
- 3 facade integration (cancel-before / cancel-mid / no-cancel
  default).
- 3 tui lib unit (cancel_running_ingest no-state / in-flight /
  terminated).

Plan 갱신: p9-fb-04 status planned → in_progress. 머지 후 한 줄
commit 으로 completed flip.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

crates/kebab-cli/src/main.rs

@@ -8,6 +8,7 @@ use clap::{Parser, Subcommand};
 
 use kebab_app::doctor_signal::{DoctorUnhealthy, NoHitSignal, RefusalSignal};
 
+mod cancel;
 mod progress;
 mod wire;
 
@@ -296,11 +297,17 @@ fn run(cli: &Cli) -> anyhow::Result<()> {
                 progress::ProgressDisplay::new(mode).run(rx)
             });
 
-            let ingest_result = kebab_app::ingest_with_config_progress(
+            // p9-fb-04: register a Ctrl-C handler that flips the same
+            // AtomicBool the facade polls at each step boundary. The
+            // *second* Ctrl-C is a hard exit (handled inside `cancel`).
+            let cancel_token = cancel::install_sigint_cancel()?;
+
+            let ingest_result = kebab_app::ingest_with_config_cancellable(
                 cfg,
                 scope,
                 *summary_only,
                 Some(tx),
+                Some(cancel_token),
             );
 
             // Join the display thread *before* surfacing the ingest